Ransomware napad koji je sam sebe poništio
Ransomware napadi obično se opisuju u smislu onoga što pođe po zlu za žrtvu: šifrirane datoteke, zaključani sustavi, poruke o otkupnini kojima se zahtijeva plaćanje. Nedavno prijavljeni incident koji uključuje skupinu za ransomware Akira preokreće taj scenarij. Prema izvješćima, Akira je pokušala lukavi manevar izbjegavanja, ponovno pokrenuvši ciljani sustav u način rada za oporavak (Safe Mode) kako bi zaobišla alate za otkrivanje i odgovor na krajnjim točkama (EDR), samo da bi se trik tako loše obio o glavu da je razbio vlastiti enkriptor ransomwarea. Microsoft Defender je zatim označio i stavio u karantenu payload, ostavivši napadače bez ikakvog rezultata od provale.
To je rijedak, gotovo antiklimaktičan ishod u prijetnji gdje ransomware bande obično uzrokuju štetu. No, ova epizoda više je od puke zanimljivosti. Nudi koristan uvid u to kako napadači pokušavaju onesposobiti sigurnosne obrane i što se dogodi kada ti pokušaji krenu po zlu.
Kako funkcionira trik s načinom rada za oporavak i zašto je propao
Pokretanje kompromitiranog računala u način rada za oporavak poznata je tehnika među operaterima ransomwarea. Način rada za oporavak svodi Windows sustav na njegove osnovne upravljačke programe i usluge, što zgodno onemogućava i mnoge alate trećih strana za EDR i antivirusnu zaštitu koji se oslanjaju na normalne procese pokretanja za učitavanje. Za napadače to stvara prozor u kojem sigurnosni softver ne nadzire, što olakšava implementaciju enkriptora bez otkrivanja.
U ovom slučaju, čini se da je isto to reducirano okruženje ometalo sposobnost enkriptora da pravilno radi. Ransomware payloadovi često ovise o specifičnim sistemskim komponentama, bibliotekama ili uslugama kako bi neometano izvršili svoje rutine šifriranja. Kada te ovisnosti nisu dostupne jer ih je način rada za oporavak onemogućio, zlonamjerni softver može se srušiti ili potpuno zakazati. To se zapravo dogodilo ovdje: taktika osmišljena da oslijepi branitelje na kraju je oslijepila sam napad.
Kao dodatna uvreda, Microsoft Defender je i dalje uspio otkriti i staviti payload u karantenu nakon toga, što sugerira da pokušaj izbjegavanja nije ni postigao svoj temeljni cilj ostanka skrivenog od Microsoftovih ugrađenih zaštita.
Zašto napadači i dalje imaju prednost, unatoč ovom promašaju
Bilo bi pogrešno čitati ovaj incident kao dokaz da ransomware obrane dobivaju širu borbu. Skupine poput Akire ostaju aktivne i ustrajne, a ovakva vrsta neuspjeha iznimka je, a ne pravilo. Operateri ransomwarea neprestano usavršavaju svoje alate, testiraju nove tehnike izbjegavanja i uče iz grešaka poput ove. Neuspjeli napad danas ne znači da ista tehnika neće sutra biti zakrpljena i uspješno ponovno upotrijebljena.
Ono što ovaj incident naglašava jest važnost slojevite obrane i brzog otkrivanja. Čak i kada napadač uspije poremetiti ili onesposobiti jedan sloj zaštite, posjedovanje drugih alata, poput Defenderove sposobnosti otkrivanja nakon incidenta, može i dalje uhvatiti zlonamjernu aktivnost prije nego što prouzroči trajnu štetu. To je također razlog zašto je razmjena informacija o prijetnjama toliko važna u različitim industrijama. Napori poput FBI-jevog poticanja zdravstvenih organizacija na razmjenu podataka o ransomware prijetnjama odražavaju sve veće prepoznavanje da uvid u ponašanje napadača, uključujući i njihove neuspjehe, pomaže braniteljima predvidjeti sljedeći potez umjesto da samo reagiraju na njega.
Što to znači za vas
Za obične korisnike i male poduzetnike ova priča podsjetnik je da ransomware nije nezaustavljiva sila, ali također neće nestati. Specifični tehnički neuspjeh ovdje, trik izbjegavanja koji je slomio vlastitu funkciju zlonamjernog softvera, bio je uglavnom sreća za žrtvu, a ne rezultat superiornih obrana s njihove strane. Ne biste se trebali oslanjati na to da napadači griješe kako biste zaštitili svoje podatke.
Ono što možete kontrolirati jest smanjenje izgleda da budete uspješno meta napada. To znači održavati sustave zakrpljenima, osigurati da su EDR ili antivirusni alati pravilno konfigurirani i nadzirani te održavati izvanmrežne ili nepromjenjive sigurnosne kopije tako da čak ni uspješan pokušaj šifriranja ne znači trajni gubitak podataka. Organizacije bi također trebale imati planove odgovora na incidente koji uzimaju u obzir neuobičajeno ponašanje sustava, poput neočekivanog ponovnog pokretanja u način rada za oporavak, jer to mogu biti rani znakovi upozorenja na aktivnu provalu, a ne rutinsko održavanje.
Ključni zaključci
Ransomware skupine poput Akire nastavljaju razvijati nove načine onesposobljavanja sigurnosnih alata prije implementacije svojih payloadova, a pokretanje u način rada za oporavak jedna je od takvih tehnika. U ovom slučaju, taktika se obila o glavu, srušivši enkriptor i dopustivši Defenderu da naknadno uhvati payload. No taj ishod bio je posljedičan, a ne zajamčen. Prava lekcija za pojedince i organizacije jest održavati sigurnosne alate ažuriranima, provoditi snažne prakse sigurnosnog kopiranja i ostati oprezan na neuobičajeno ponašanje sustava. Obrana od ransomwarea nije u nadi da će napadači zakazati; radi se o izgradnji otpornosti tako da, bez obzira na to hoće li ili neće, šteta ostane ograničena.
